AWS

Ikke autorisert til å utføre: sts:AssumeRole

Bruker: arn:aws:sts::xxxxx:assumed-role/EnterpriseKeyManagement/OpenAI-EKM-Service er ikke autorisert til å utføre: sts:AssumeRole på ressurs: arn:aws:iam::xxxxx:role/xxxxxx

Bekreft principal og ExternalId i tillitspolicyen din

Sørg for at du har fulgt denne delen av dokumentasjonen, inkludert BÅDE å gjenkjenne OpenAI sin principal og konfigurere en sts:ExternalId

Hvis du allerede har lagt inn en sts:ExternalId, må du sørge for at det er samme OpenAI-organisasjons-ID som du bruker EKM på, og ikke en annen org, som en personlig org.

Bekreft koblingen mellom tillitspolicy og rolle-ARN

Bekreft at tillitspolicyen din er riktig lagret til rolle-ARN-en du har oppgitt

Bekreft også at du har oppgitt riktig rolle-ARN. Hvis ARN-en din er feilstavet og ikke finnes, får vi den samme feilen som hvis rollen finnes, men nekter tillatelser.

Ikke autorisert til å utføre: kms:Encrypt på ressurs

Bruker: xxxxx er ikke autorisert til å utføre: kms:Encrypt på ressurs

Sørg for at IAM-policyen din gir kms:Encrypt og kms:Decrypt til OpenAI sin rolle. 

Hvis du også har lagt til en nøkkelpolicy, må du sørge for at den også gir kms:Encrypt og kms:Decrypt til OpenAI sin rolle.

GCP

Kunne ikke hente GCP STS-token for audience

Kunne ikke hente GCP STS-token for audience //iam.googleapis.com/projects/xxxxxxxxx/locations/global/workloadIdentityPools/xxxxxxx/providers/xxxxxxxxxx: {'error': 'invalid_request', 'error_description': 'Ugyldig verdi for quot;audiencequot;. Denne verdien skal være det fullstendige ressursnavnet til identitetsleverandøren. Se https://cloud.google.com/iam/docs/reference/sts/rest/v1/TopLevel/token for listen over mulige formater.

GCP forventer en audience i formatet 

iam.googleapis.com/projects/xxxxxxxxx/locations/global/workloadIdentityPools/xxxxxxx/providers/xxxxxxxxxx

Sørg for at du har oppgitt riktige parametere når du registrerer nøkkelen din hos OpenAI ved hjelp av External Keys in the Management API

• Sørg for at workload_identity_project_number er det 12-sifrede GCP-prosjektnummeret ditt

• Sørg for at workload_identity_pool_id er riktig

• Sørg for at workload_identity_provider_id er riktig

Audience i ID-token samsvarer ikke med forventet audience

Kunne ikke hente GCP STS-token for audience //iam.googleapis.com/projects/xxxxxx/locations/global/workloadIdentityPools/xxxxxxx/providers/xxxxxxxx: {'error': 'invalid_grant', 'error_description': 'Audience i ID-token [xxxxx] samsvarer ikke med forventet audience xxxxxxx.'}

Sørg for at feltet audience som du oppgir når du registrerer konfigurasjonen din hos OpenAI (External Keys in the Management API ) er blant Allowed Audiences for workload identity provider-en din. Vi anbefaler å bruke OpenAI-organisasjons-ID-en din.

Azure

Klientapplikasjonen mangler service principal

Klientapplikasjonen xxxxx mangler service principal i leieren xxxxx. Se instruksjonene her: https://go.microsoft.com/fwlink/?linkid=2225119

Sørg for at du har fulgt opprettelsen av service principal nøyaktig som beskrevet i OpenAI / Azure EKM Integration Instructions.

Kalleren er ikke autorisert til å utføre handling på ressurs

Kalleren er ikke autorisert til å utføre handling på ressursen. Hvis rolleoppdrag, deny assignments eller rolledefinisjoner nylig ble endret, må du ta hensyn til propageringstid.

Den samme feilen kan dukke opp av flere grunner

• Du oppga feil nøkkelnavn eller vault uri, eller ett som ikke finnes

• Du opprettet ikke en rolle med disse datahandlingene OG tildelte den rollen til OpenAI sin service principal

  • Microsoft.KeyVault/vaults/keys/encrypt/action

  • Microsoft.KeyVault/vaults/keys/decrypt/action

Nøkkelnavnet samsvarer ikke med mønsteret

"Ugyldig 'key_name': strengen samsvarer ikke med mønsteret. Forventet en streng som samsvarer med mønsteret '^org-[0-9a-zA-Z-]*--[0-9a-zA-Z-]*$'."

Legg til OpenAI-organisasjons-ID-en din som prefiks i Key Vault-nøkkelnavnet.

Dette er beste praksis anbefalt av sikkerhetsteamet for å forhindre at Key Vault-nøkkelen din blir registrert av en annen bruker. Vi validerer at org id samsvarer ved nøkkelregistrering og ved hver forespørsel til nøkkelhvelvet ditt.